Un mensaje especialmente preparado puede interrumpir el servicio telefónico de dispositivos Android sin corregir y cortar una llamada, incluso una de emergencia, sin que la persona tenga que abrirlo. Google incorporó una corrección al código de Android, pero su llegada a cada teléfono depende del fabricante y, en algunos casos, del operador.
El investigador de seguridad identificado como Mark B divulgó el problema el 29 de octubre y lo llamó "SMS of Death". Su prueba de concepto muestra una falla de denegación de servicio: el teléfono procesa el mensaje y la función encargada de las llamadas puede detenerse. La investigación no demuestra que el fallo permita leer archivos ni controlar el dispositivo.
El equipo de respuesta a incidentes de Tailandia, ThaiCERT, indicó el 2 de noviembre que existía una prueba de concepto pública, pero que no había evidencia confirmada de que la vulnerabilidad se hubiera utilizado en ataques reales.
Una interrupción que puede repetirse
El mensaje utiliza WAP Push, un formato que Android puede procesar antes de que llegue a la bandeja de entrada. En los dispositivos vulnerables, un error al interpretar sus datos provoca que falle el proceso que gestiona la conexión telefónica, de acuerdo con ThaiCERT.
La interrupción puede repetirse si el teléfono vuelve a procesar el mensaje o si la red intenta entregarlo otra vez. El investigador reportó que, en ciertas pruebas, varios mensajes provocaron fallos persistentes y reinicios. ThaiCERT indica que el problema se reprodujo en Android 12 a 16; Android Authority señala que entre los equipos probados había dispositivos Pixel y Samsung Galaxy.
Qué se sabe del parche
El registro de código de Android muestra una corrección destinada a evitar estos fallos repetidos: maneja el error y elimina el mensaje problemático. Mark B afirma que la corrección se incluyó en las actualizaciones de seguridad de octubre de 2026 para Android 14, 15, 16 y 17.
Según el investigador, Android 12 y 13 no recibieron esa corrección en el ciclo general de octubre. Eso no permite descartar que un fabricante ofrezca una solución específica para alguno de sus modelos.
ThaiCERT y Android Authority identifican la vulnerabilidad como CVE-2026-58882. Ese código no aparece en el boletín público de Android de octubre, por lo que consultar el boletín por sí solo no confirma qué modelos recibieron la corrección. Android Authority también recoge que GrapheneOS esperaba su inclusión en el boletín de noviembre.
Cómo revisar tu dispositivo
Google recomienda abrir Ajustes, entrar en Información del teléfono y después en Versión de Android para consultar la versión y la fecha de la actualización de seguridad. Para buscar nuevas actualizaciones, indica ir a Sistema y luego a Actualizaciones de software; los nombres de los menús pueden variar según el fabricante.
Instala la actualización de seguridad más reciente disponible. Una fecha de octubre de 2026 o posterior es una referencia para consultar el estado del dispositivo, pero ante la ausencia del código en el boletín de octubre conviene confirmar con el fabricante o el operador si la compilación concreta incluye esta corrección.
Si el teléfono presenta reinicios continuos, el fabricante o el operador pueden orientar sobre las opciones de recuperación antes de tomar medidas que borren información.
